Политика конфиденциальности

Где лежит ваша переписка и кто может до неё добраться

DutyDesk работает на наших серверах в Израиле. Переписка с вашими клиентами, контакты и правила хранятся у нас, и в этом документе точно сказано, что хранится, как долго и кому передаётся.

Обновлено: 2026-10-20 · AlphaMerge

Это перевод для вашего удобства. Обязательной является версия на иврите, и при любом расхождении действует она.

Что охватывает этот документ

Документ охватывает сервис DutyDesk, приложения DutyDesk Desktop и DutyDesk Planner и этот сайт. Оба приложения устроены иначе, и каждому посвящён отдельный раздел ниже.

О переписке, карточках клиентов, заполненных формах, оценках и графике смен в рабочем пространстве решает бизнес, которому это пространство принадлежит: он определяет, что собирается и зачем, а мы обрабатываем эти данные от его имени. Об учётных записях тех, кто входит в панель управления, об оплате и об этом сайте решаем мы, и этот документ описывает, как именно.

Сервис управляет аккаунтом WhatsApp через интерфейс, который не является официальным WhatsApp Business API. Это ваше решение и ваша ответственность, и оно описано в условиях использования.

DutyDesk Cloud: что храним мы

Ваше рабочее пространство находится в базе данных на нашем сервере в регионе me-west1 Google Cloud — это Тель-Авив — и больше нигде. Доступа к базе данных из интернета нет: к ней можно обратиться только через сам сервис.

Содержимое отправленных и полученных сообщений и сама переписка
Контакты и карточки клиентов: имена, номера телефонов, заметки, метки, этапы, ваши собственные поля и записи на приём — а также кто попросил исключить его из списка и каким словом
Формы и то, что клиенты в них заполнили: ответы, подпись или фото, если форма их просит, и вопросы в том виде, в каком их задали
Просьбы об отзыве: когда каждая отправлена и открыта, нажата ли кнопка Google, а также оценка и комментарий, если клиент их оставил
График смен: имя, номер телефона и должность каждого сотрудника, его смены и ответы, а также сообщения, которые ему отправлены
Оплата записей: что отмечено у каждой («Запрошен аванс» или «Оплачено»), а если вы подключили бухгалтерский сервис (Morning, iCount, Invoice4U или Keep) — сумма, способ и дата оплаты, номер квитанции и ссылка на неё
Правила, сценарии, кампании и приложенные к ним файлы
Данные входа в WhatsApp и каждый токен подключения — они шифруются AES-256-GCM ключом, который принадлежит только вашему рабочему пространству, ещё до записи в базу
Команда: имена, адреса электронной почты и роли; пароли хранятся только в виде хеша scrypt, а сеансы входа — только в виде хеша
Счётчики использования и оплаты, а также журнал действий: кто что подключил, изменил или удалил и с какого IP-адреса

Кто это видит

Участники вашего рабочего пространства — каждый в пределах прав своей роли. С нашей стороны служебная консоль показывает тарифы, использование и цифры — но не сообщения, не контакты и не переписку. Те, кто обслуживает серверы, могут добраться до самой базы данных и делают это, только чтобы устранить сбой или разобраться с вашим обращением.

Текст для ответа AI

Отправляется в Claude API от Anthropic (или в Gemini API от Google, если ваше рабочее пространство работает на модели Gemini), на наших ключах, и только когда включены ответы AI: описание бизнеса, которое вы написали, услуги, цены, часы работы и ссылка на оплату, которые вы указали, последние сообщения переписки (по умолчанию пять), имя клиента и его ближайшие записи к вам. Для клиента, который пришёл по чат-ссылке, созданной DutyDesk Planner для одного из ваших постов, и только если вы решили отправлять вместе с ней текст поста: этот текст и то, отметили ли вы товар как проданный. Если сервис сам определяет язык клиента, в Claude API от Anthropic уходит и короткий фрагмент его сообщения. Ни Anthropic, ни Google не обучают модели на этих данных.

Когда вы сами пробуете AI

Отправляется в Claude API от Anthropic (или в Gemini API от Google, если ваше рабочее пространство работает на модели Gemini), на наших ключах, на любом тарифе, когда вы просите об этом в настройках AI, в редакторе правил, в форме или в DutyDesk Planner. В «Спросить бота» — описание бизнеса, ваши часы работы, услуги, ссылка на оплату и вопрос, который вы набрали. В «Написать по сайту или файлам» и «Написать с помощью AI» — страницы сайта и файлы, которые вы выбрали, и то, о чём вы попросили. Когда DutyDesk Planner, подключённый к вашему рабочему пространству, пишет или переводит для вас пост, — описание бизнеса, ваши услуги и часы работы и то, что вы ему дали: задание, пост или данные объявления. В «Перевести с AI» в форме — собственные слова формы: заголовок, вступление, вопросы, подсказки и варианты, но никогда не то, что заполнили клиенты. Ответ или черновик видите только вы, и никому он не отправляется. Ни Anthropic, ни Google не обучают модели на этих данных.

Голосовые сообщения

Отправляются в Gemini API от Google, чтобы превратиться в текст. Расшифровка включена по умолчанию, и её можно выключить в разделе «Настройки». Текст сохраняется вместе с сообщением; саму запись мы у себя не храним.

Фото и файлы от клиентов

Фото или файл, которые клиент присылает в личной переписке в WhatsApp или Telegram, — фото, PDF, файл Word, Excel или текстовый файл до 16 МБ — хранятся в закрытом хранилище Google Cloud Storage в том же регионе, чтобы вы видели их в разговоре. Они автоматически удаляются через 90 дней после получения вместе с именем файла, а в течение недели после этого исчезают и из нашего хранилища; в разговоре остаётся только отметка, что пришло фото или файл. Они никогда не передаются модели AI. Геопозиция, которой делится клиент, сохраняется как ссылка на карту, как любое другое сообщение. Видео, стикеры и фото для однократного просмотра не сохраняются.

Формы, которые заполняют клиенты

Форма, которую бизнес отправляет перед визитом, например анкета о здоровье или анкета клиента, приходит клиенту ссылкой в переписке и заполняется на нашей странице. Бизнес может также открыть форму для всех — по QR-коду у стойки или по ссылке, которой он делится сам; тот, кто её заполняет, сначала указывает имя и номер телефона, и у бизнеса появляется его карточка. Что спрашивает форма и зачем, решает бизнес: анкета о здоровье — это чувствительные данные, и решение их запрашивать принимает бизнес. Ответы, подпись и фото (хранятся как изображения) и вопросы в том виде, в каком их задали, хранятся в рабочем пространстве, в карточке клиента; ответ, который по настройке формы относится к карточке, — имя, адрес эл. почты, номер телефона или день рождения — копируется в неё. Их видят операторы, администраторы и владелец рабочего пространства; наблюдатели видят только, сколько форм заполнено. Участники, которые попросили об уведомлениях, получают письмо или сообщение в Telegram о новой заполненной форме — с названием формы и именем клиента, но без ответов. Администратор может скачать их в CSV, и каждое скачивание записывается в журнал действий; администратор может и удалить заполненную форму. Они не передаются ни одной модели AI, не показываются в нашей панели для персонала и не записываются в журналы наших серверов. Личная ссылка клиента срабатывает только один раз и не дольше 30 дней, напоминание приносит вторую ссылку на ту же форму, и от каждой у нас хранится только хеш; открытая ссылка формы работает, пока бизнес её не выключит или не заменит.

Просьбы об отзыве

Если бизнес включил отзывы, после визита клиент получает в переписке ссылку на нашу страницу. Страница предлагает всем страницу отзывов бизнеса в Google, а отдельно — звёзды и комментарий, которые видит только бизнес. В рабочем пространстве хранится, когда просьба отправлена и когда открыта страница, нажата ли кнопка Google, а также оценка и комментарий, если клиент их оставил. Оценку можно изменить в течение 7 дней, а ссылка работает 30 дней. Отзыв, написанный в Google, уходит в Google по его условиям и к нам не возвращается. Оценки и комментарии видят операторы, администраторы и владелец; наблюдатели видят только итоги. Они не передаются ни одной модели AI, не показываются в нашей панели для персонала и не записываются в журналы наших серверов. От ссылки у нас хранится только хеш.

График смен

Если бизнес планирует смены в DutyDesk, хранятся имя, номер телефона и должность каждого сотрудника, его смены и то, подтверждена ли каждая из них или отмечено, что выйти не получится. Каждый получает свою неделю сообщением в WhatsApp или Telegram со ссылкой на нашу страницу, где видны только его собственные смены, и мы отмечаем, когда страницу открыли впервые. Чтобы отправлять эти сообщения, для каждого сотрудника также создаётся карточка контакта с меткой Staff. Наблюдатели видят график без номеров телефонов; операторы видят и номера; администраторы и владелец составляют график и могут скопировать ссылку сотрудника. Ссылка перестаёт работать через 14 дней после конца её недели. График не передаётся ни одной модели AI и не показывается в нашей панели для персонала. Администратор может удалить сотрудника навсегда: имя, номер и отработанные смены удаляются, а карточка контакта остаётся в «Контактах», где её можно удалить.

Ссылка на оплату и квитанции

Ссылка на оплату, которую вы указали, — Bit, PayBox или страница оплаты — уходит клиентам как есть, в напоминаниях и ответах, и мы не считаем, кто по ней переходит. Отметка «Запрошен аванс» или «Оплачено» хранится вместе с записью, и каждое изменение заносится в журнал действий. На тарифе Grow и выше можно подключить свой аккаунт в одном бухгалтерском сервисе — Morning, iCount, Invoice4U или Keep: ключ или токен, который он вам выдаёт, шифруется ключом, который принадлежит только вашему рабочему пространству, и больше не показывается. Когда по оплаченной записи запрашивают квитанцию, в этот сервис уходят имя клиента, его номер телефона, если он есть в карточке и сервис его принимает, за что заплачено, сумма, способ и дата оплаты, и сервис оформляет квитанцию в вашем аккаунте по своим условиям. В iCount и Invoice4U квитанция оформляется на клиента из вашего списка клиентов там, а если такого нет, туда добавляется клиент с этим именем (в Invoice4U — и с номером телефона). Адрес электронной почты мы сервису не передаём и просим ничего не отправлять, поэтому он ничего клиенту не присылает; ссылка на квитанцию уходит клиенту в чат, только если так решил тот, кто её запросил. У нас хранятся сумма, способ и дата оплаты, номер квитанции и ссылка на неё. Их видят операторы, администраторы и владелец; они не отправляются ни в какую модель AI и не показываются в нашей служебной консоли. Удаление контакта или записи удаляет их у нас, а в журнале действий остаются только номер квитанции и сумма, без имени. Сама квитанция и клиенты, которых сервис добавил в ваш список, остаются в вашем аккаунте в этом сервисе.

Письма и оповещения

Отправляются из нашего почтового ящика в Google: приглашения в команду, сброс пароля, предупреждение о том, что квота подходит к концу, а участникам команды, которые это выбрали, — ещё и просьба клиента поговорить с сотрудником вместе с последними сообщениями переписки. Когда бот назначает, переносит или отменяет запись, оповещение с именем клиента и временем получают владелец и администраторы, если не отключили его, и операторы, которые его включили. На тарифе Grow и выше участник команды, которому коллега назначил разговор, получает оповещение с именем коллеги, именем клиента и ссылкой на разговор, если не отключил его. Те, кто подключил Telegram, получают те же оповещения через нашего бота в Telegram.

Резервные копии

Ночная копия базы данных в Google Cloud Storage, в том же регионе, зашифрованная при хранении. Удаляется автоматически через 60 дней.

Платежи

Stripe. Данные карты через нас не проходят и у нас не хранятся. У нас хранится, за что было списано в каждом месяце, и идентификатор, который Stripe присваивает вашей учётной записи.

Каналы, которые вы подключаете

Номер привязан как устройство вашего аккаунта, и подключение работает на нашем сервере. Сообщения приходят к нам так же, как в WhatsApp Web, и мы не запрашиваем у WhatsApp всю историю ваших чатов.

Бот, которого вы создаёте в BotFather и подключаете по его токену. Сообщения приходят к нам через официальный Bot API Telegram.

Facebook и Instagram

Пока недоступны. Что будет действовать, когда они появятся, описано ниже.

Ваши данные Google

Если вы подключили Google Календарь к DutyDesk Cloud, сервис запрашивает у Google три разрешения на календарь и не более: видеть, занято ли определённое время (calendar.events.freebusy), читать только список ваших календарей (calendar.calendarlist.readonly) и создавать, изменять и отменять события в календарях, владельцем которых вы являетесь (calendar.events.owned), чтобы записи, сделанные в DutyDesk, появлялись в вашем календаре. Вместе с ними он запрашивает адрес электронной почты аккаунта, чтобы экран мог показать, к какому аккаунту он подключён.

Мы не запрашивали ни широкое разрешение на календарь, ни какое-либо разрешение читать ваши события, и содержимое ваших событий никогда не читается. Сервис записывает в календарь, только если вы выбрали календарь для записей, только в этот один календарь и только события, которые создал он сам. Разрешение на запись действует только для ваших собственных календарей — не для тех, которыми с вами поделились другие. Это разрешение можно оставить неотмеченным на экране Google: тогда календарь только читается, и в него ничего не записывается. Приложение для компьютера DutyDesk Desktop запрашивает те же разрешения, но хранит всё на вашем компьютере — об этом в следующем разделе.

Для чего это нужно

Чтобы предлагать клиентам только то время, когда вы действительно свободны, по выбранным вами календарям — до 50, — а если вы выбрали календарь для записей, вносить в него записи, сделанные в DutyDesk, и поддерживать их там в актуальном виде.

Что читается

Список ваших календарей — чтобы вы могли выбрать, какие из них учитываются и какой принимает записи. Из учитываемых календарей — только проверка «свободно/занято»: Google возвращает занятые интервалы времени без заголовков, без участников и без содержимого.

Что записывается

Только если вы выбрали календарь для записей: одно событие на каждую запись, сделанную в DutyDesk, в этом календаре — имя клиента в заголовке (после названия записи, если оно есть), его имя и номер телефона в описании, время начала и окончания, пометка события как свободного времени и скрытая пометка, связывающая его с записью. Когда запись переносится или отменяется в DutyDesk, событие меняется или удаляется. Больше ничего в вашем календаре не создаётся, не меняется и не удаляется, и ни одно событие не читается.

Где это хранится

Токен хранится в нашей базе данных в регионе me-west1, зашифрованный до записи, и прочитать его обратно из панели нельзя. Занятые интервалы хранятся в вашем рабочем пространстве на те дни, на которые бот предлагает запись, и обновляются, когда меняются. Для каждой записи, внесённой в Google, мы храним календарь и идентификатор события, чтобы его можно было изменить.

С кем этим делятся

Ни с кем. Не передаётся третьим лицам, не используется ни для рекламы, ни для обучения моделей и не продаётся.

Как отключить

«Календарь» → «Подключённый календарь», кнопка «Отключить»: разрешение отзывается у Google, а токен и все занятые интервалы удаляются из нашей базы. Уже внесённые записи остаются в вашем календаре. Чтобы перестать вносить записи, не отключая календарь, выберите хранение записей только в DutyDesk. Разрешение можно также убрать прямо на странице разрешений аккаунта Google.

Ваши данные Google в приложении для компьютера

Приложение для компьютера DutyDesk Desktop может вносить записи клиентов прямо в ваш Google Календарь. Если вы подключили календарь, оно запрашивает у Google те же три разрешения, что и облако: проверку «свободно/занято» (calendar.events.freebusy), список календарей (calendar.calendarlist.readonly) и право создавать, изменять и отменять события в календарях, владельцем которых вы являетесь (calendar.events.owned). Вместе с ними оно запрашивает адрес электронной почты аккаунта, чтобы экран мог показать, к какому аккаунту оно подключено.

Всё это происходит на вашем компьютере. Приложение обращается к Google напрямую: ничего из вашего календаря не проходит через наши серверы и не хранится у нас, и копии токена у нас нет.

Мы не запрашиваем ни широкое разрешение на календарь, ни разрешение читать все события во всех календарях, которые вы видите. Разрешение на запись действует только для ваших собственных календарей — не для тех, которыми с вами поделились другие.

Для чего это нужно

Чтобы предлагать клиентам только то время, когда вы свободны, вносить в выбранный календарь запись, которую сделали они или вы за них, и изменять или отменять её там, когда она меняется в приложении.

Что записывается

Одно событие на каждую запись, которую делает приложение, в одном календаре, выбранном для записей: имя клиента в заголовке, его имя и номер телефона в описании, время начала и окончания и скрытая пометка, по которой приложение узнаёт своё событие. Когда запись переносится или отменяется в приложении, событие меняется или отменяется. Больше ничего в вашем календаре не создаётся, не меняется и не удаляется.

Что читается

Список ваших календарей — чтобы вы могли выбрать, какой принимает записи, а какие только учитываются как занятые. Из них — занятые интервалы без заголовков и без содержимого. Чтобы записи в приложении совпадали с календарём, оно читает и события календаря для записей: свои сохраняет, а все остальные отбрасывает, не сохраняя.

Где это хранится

Только на вашем компьютере. Токен хранится в папке данных приложения, зашифрованный с помощью хранилища ключей операционной системы. Записи, сделанные приложением, хранятся в его локальной базе данных вместе с остальными данными. Ничего из этого нам не отправляется.

С кем этим делятся

Ни с кем. Мы эти данные вообще не получаем. Они не передаются третьим лицам, не используются ни для рекламы, ни для обучения моделей и не продаются.

Как отключить

В приложении: «Календарь» → «Подключённый календарь», кнопка «Отключить»: разрешение отзывается у Google, а токен удаляется с компьютера. Уже сделанные записи остаются в вашем календаре. Разрешение можно также убрать прямо на странице разрешений аккаунта Google.

Ограниченное использование

Использование DutyDesk информации, полученной через интерфейсы Google, и любая её передача другому приложению подчиняются Google API Services User Data Policy, включая требования ограниченного использования (Limited Use).

Ваши данные Facebook и Instagram

Подключение страницы Facebook или бизнес-аккаунта Instagram пока недоступно. Когда оно появится, будет действовать следующее.

Сервис запросит разрешение читать сообщения, которые клиенты пишут странице или аккаунту, и отвечать на них — и ничего больше. Он не будет читать публикации, комментарии, подписчиков или статистику, не будет загружать профили клиентов и не коснётся вашего личного профиля.

Meta разрешает бизнесу отвечать в течение 24 часов с момента, когда клиент написал, и сервис будет отвечать автоматически только внутри этого окна. Кампаний в Messenger и Instagram он отправлять не будет.

Токен доступа будет храниться в зашифрованном виде в нашей базе данных в регионе me-west1, а сообщения — в вашем рабочем пространстве рядом с остальной перепиской. Отключение в панели удаляет токен на нашей стороне и сразу прекращает доступ. Можно также убрать DutyDesk в настройках «Бизнес-интеграции» вашего аккаунта Facebook.

Условия платформы Meta

Использование DutyDesk информации, полученной из API Meta, будет соответствовать Условиям платформы Meta и политикам Messenger Platform, включая описанное выше окно для сообщений.

DutyDesk Desktop — приложение для компьютера

DutyDesk Desktop продаётся отдельно от облачных тарифов — как годовая лицензия на два компьютера. Приложение работает на вашем компьютере и использует ваши собственные ключи AI. Его диалоги, контакты, правила и данные подключений лежат в локальной базе данных на том же компьютере, доступа к которой у нас нет, как нет и её копии.

Нам оно отправляет проверку действительности ключа продукта на сервере лицензий, каждые несколько минут: сам ключ, односторонний хеш аппаратного идентификатора компьютера и IP-адрес запроса. При активации, а также если серверу лицензий ещё не известно имя компьютера или компьютер переименовали, оно отправляет и имя компьютера с его операционной системой, чтобы в списке компьютеров лицензии их можно было различить. Когда AI-ответы включены, сообщения, на которые нужно ответить, уходят с вашего компьютера напрямую провайдеру AI, чей ключ вы ввели, по вашему собственному договору с ним, а не через нас.

Сервер лицензий хранит то, что нужно для проверки лицензии, и ничего сверх этого:

Владельцы лицензий

Имя, адрес электронной почты, язык интерфейса и то, просили ли вы присылать на почту новости продукта или советы. В каждом таком письме есть ссылка, чтобы отказаться от этих писем.

Лицензия

Ключ продукта, тариф, дата окончания и число компьютеров.

Активации

Хешированный идентификатор машины для каждого компьютера, чтобы их можно было посчитать. Это односторонний хеш: восстановить по нему компьютер невозможно, и вне контекста лицензии он вас не идентифицирует. Рядом с ним хранятся имя компьютера и его операционная система, как их сообщает приложение; видят их только владелец лицензии и мы.

Журнал действий

Выпуск, активация, освобождение компьютера, продление и отзыв — для поддержки и бухгалтерии.

DutyDesk Planner — публикации в группах Facebook

DutyDesk Planner продаётся отдельно, по месячной лицензии на два компьютера, цена которой зависит от аккаунтов Facebook, с которых вы публикуете. Он работает на вашем компьютере и управляет вашими аккаунтами Facebook через Google Chrome на этом компьютере. Вход в Facebook выполняется в Chrome, и пароль передаётся Facebook, а не Planner. Входы хранятся в профилях Chrome на этом компьютере. Группы, списки, посты, изображения, комментарии и статистика ваших аккаунтов хранятся в локальной базе данных на этом компьютере, к которой у нас нет доступа и копии которой у нас нет.

То, что вы публикуете, и ответы, которые вы пишете, уходят с вашего компьютера в Facebook от имени вашего аккаунта, и на них распространяются правила Meta. Тем же путём Planner читает из Facebook комментарии к вашим постам, чтобы показать их вам.

Нам он отправляет проверку действительности лицензионного ключа на сервере лицензий — при запуске, с интервалом, который задаёт сервер лицензий, после выхода компьютера из сна и когда вы нажимаете «Проверить сейчас», — в которой есть сам ключ, односторонний хеш аппаратного идентификатора компьютера, продукт, к которому относится ключ, и IP-адрес запроса. Кроме того, при запуске и каждые шесть часов он спрашивает наш сервер, нет ли новой версии приложения и новых правил страниц, по которым он ориентируется на страницах Facebook. Это обычные загрузки, и из них мы видим IP-адрес запроса и ничего больше. Ничего о ваших аккаунтах Facebook, группах, постах или комментариях нам не отправляется, кроме того, что вы сами решаете отправить в рабочее пространство DutyDesk, к которому подключили Planner: для каждой чат-ссылки, которую он там создаёт, — названия поста и группы, акцию, к которой относится пост, а если вы это включили, ещё текст поста и отметку о том, что товар продан; и задание или пост, которые вы просите AI рабочего пространства написать или перевести. Комментарии к вашим постам не отправляются никогда.

Сервер лицензий хранит о лицензии Planner те же данные, что и о лицензии DutyDesk Desktop, перечисленные выше, а также то, к какому продукту относится лицензия.

Когда вы обращаетесь к нам за помощью, вы сами выбираете, что отправить: отчёт из раздела «Проверка» в настройках Planner или снимок экрана. Мы видим только то, что вы отправили.

Данные Planner удаляются, когда их удаляете вы: удалите приложение или его папку с данными, в которой хранятся и профили Chrome, и еженедельные резервные копии. Резервная копия, которую вы сохранили в другом месте, остаётся у вас, и удаляете её вы. Мы не можем сделать это за вас, потому что у нас нет доступа к компьютеру.

Этот сайт и панель управления: файлы cookie и аналитика

Выбранные вами на сайте настройки цветовой темы и доступности хранятся в вашем браузере и нам не отправляются. Шрифты сайта загружаются из Google Fonts, поэтому Google видит адрес браузера, который их запрашивает. Когда вы входите в панель управления, устанавливается файл cookie, который сохраняет ваш вход.

Аналитика — только с вашего согласия. На сайте и в панели управления мы спрашиваем, можно ли нам использовать Google Analytics — сервис Google Ireland Limited, — чтобы считать посещения и видеть, какими страницами пользуются, откуда приходят посетители (например, из поиска или рекламной кампании) и несколько важных для нас шагов: нажатие на кнопку начала пробного периода, регистрацию, загрузку DutyDesk Desktop, обращение к нам и подключение канала в панели управления. Пока вы не согласитесь, из Google Analytics ничего не загружается и ему ничего не отправляется.

Если вы согласитесь, Google Analytics сохраняет файлы cookie, имена которых начинаются с _ga, чтобы различать посещения, и получает IP-адрес браузера, его тип и размер экрана, а также открытые вами страницы. Он не получает ваше имя, адрес электронной почты и ничего из вашего рабочего пространства и переписки, а части адресов страниц, по которым вас можно узнать, например ссылку для сброса пароля, мы удаляем до отправки. Google обрабатывает эти данные для нас по своим условиям обработки данных, возможно, за пределами Израиля, и хранит их два месяца. Рекламные функции и Google Signals выключены, и мы не передаём данные Google для его собственных целей.

Ваш выбор хранится шесть месяцев в файле cookie dutydesk_consent, общем для сайта и панели управления. Изменить его можно в любой момент: «Настройки cookie» внизу сайта или меню аккаунта в панели управления. Отказ ничего вам не стоит: всё работает точно так же.

Хранение и удаление

Переписка, контакты и всё остальное хранятся, пока существует рабочее пространство; ничего в нём не истекает само по себе, кроме фото и файлов от клиентов: они удаляются через 90 дней после получения, а в течение недели после этого исчезают и из хранилища. Рабочее пространство, у которого закончился пробный период или тариф, приостанавливается, а не очищается.

Формы, заполненные клиентом, и его оценки хранятся вместе с его контактом, и удаление контакта — или рабочего пространства — удаляет и их. График смен хранит сотрудников и их прошлые смены, пока существует рабочее пространство, если только администратор не удалит сотрудника — тогда он и его отработанные смены удаляются сразу; тот, кого только убрали из графика, остаётся в его истории со своим именем и номером.

Удаление рабочего пространства: владелец удаляет его в разделе «Настройки», предварительно отменив его тариф, если он есть. Все каналы сразу отключаются, а с момента запроса начинается 30-дневный отсчёт, по истечении которого рабочее пространство — сообщения, контакты, правила и файлы — удаляется. Тридцать дней, а не сразу, чтобы ошибочное нажатие в пятницу можно было отменить. Уже записанные резервные копии удаляются сами через 60 дней после создания.

Первое рабочее пространство, открытое учётной записью, нельзя удалить из панели. Чтобы удалить учётную запись вместе с ним, напишите нам, и мы удалим и то и другое тем же способом.

Сообщения, приходящие из канала, хранятся в очереди обработки семь дней после того, как их обработали, или 30 дней, если обработать их не удалось. Записи об оплате хранятся столько, сколько требует закон.

Если вы пользуетесь настольным приложением, его данные удаляются тогда, когда их удаляете вы: удалите приложение или его папку данных. Мы не можем сделать это за вас, потому что не имеем к ним доступа.

Ваши права

Вы вправе запросить доступ к данным, которые мы о вас храним, их исправление или удаление. Напишите на адрес ниже, и мы ответим.

Если вы клиент бизнеса, который пользуется DutyDesk, о вашей переписке с ним, заполненных для него формах и поставленных ему оценках решает этот бизнес, и лучше обратиться к нему. Если вы напишете нам, мы передадим запрос бизнесу и поможем ему ответить. Чтобы больше не получать от него кампании, ответьте стоп-словом, например STOP или «отписаться».

Если вы работаете в бизнесе, который планирует смены в DutyDesk, то же относится к вашим данным и сменам: о них решает бизнес, и лучше обратиться к нему.

Изменения в документе

Существенное изменение будет опубликовано здесь, и дата обновления выше изменится вместе с ним. Если изменятся разрешения, которые сервис запрашивает у Google, вам нужно будет подтвердить их заново, так что ничего не расширится незаметно.

Контакты

alphamergers@gmail.com

מדיניות פרטיות

איפה השיחות שלכם נמצאות, ומי יכול להגיע אליהן

DutyDesk רץ על השרתים שלנו בישראל. השיחות עם הלקוחות שלכם, אנשי הקשר והכללים נמצאים אצלנו, והמסמך הזה אומר בדיוק מה נשמר, לכמה זמן, ולמי זה מועבר.

עודכן לאחרונה: 2026-10-20 · AlphaMerge

מה המסמך הזה מכסה

המסמך מכסה את שירות DutyDesk, את האפליקציות DutyDesk Desktop ו-DutyDesk Planner ואת האתר הזה. שתי האפליקציות פועלות אחרת, ולכל אחת מהן יש פרק משלה בהמשך.

על השיחות, רשומות הלקוחות, הטפסים שמולאו, הדירוגים וסידור העבודה בסביבת עבודה מחליט העסק שהסביבה שלו: הוא קובע מה נאסף ולמה, ואנחנו מטפלים במידע הזה בשמו. על החשבונות של מי שמתחברים ללוח הבקרה, על החיוב ועל האתר מחליטים אנחנו, והמסמך הזה מתאר איך.

השירות מפעיל חשבון וואטסאפ דרך ממשק שאינו ה-WhatsApp Business API הרשמי. זו ההחלטה שלכם והאחריות שלכם, והיא מתוארת בתנאי השימוש.

DutyDesk Cloud: מה נשמר אצלנו

סביבת העבודה שלכם נמצאת במסד נתונים על שרת שלנו באזור me-west1 של Google Cloud — תל אביב — ולא בשום מקום אחר. אי אפשר להגיע למסד הנתונים מהאינטרנט, אלא רק דרך השירות עצמו.

תוכן ההודעות שנשלחו והתקבלו, והשיחות עצמן
אנשי קשר ורשומות לקוח: שמות, מספרי טלפון, הערות, תגיות, שלבים, שדות משלכם ותורים — וגם מי ביקשו הסרה מהרשימה, ובאיזו מילה
טפסים ומה שלקוחות מילאו בהם: התשובות, חתימה או תמונות אם הטופס מבקש אותן, והשאלות כפי שנשאלו
בקשות ביקורת: מתי כל בקשה נשלחה ונפתחה, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם
סידור העבודה: השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות והתשובות שלו, וההודעות שנשלחו אליו
תשלומים על תורים: מה שסומן על כל תור («התבקשה מקדמה» או «שולם»), ואם חיברתם מערכת הנהלת חשבונות (Morning, iCount, Invoice4U או Keep) — הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה
כללים, תרחישים, קמפיינים וקבצים שצורפו אליהם
ההתחברות לוואטסאפ וכל טוקן של חיבור — מוצפנים ב-AES-256-GCM, במפתח ששייך לסביבת העבודה בלבד, לפני הכתיבה למסד
הצוות: שמות, כתובות מייל ותפקידים; סיסמאות נשמרות רק כגיבוב scrypt, והתחברויות רק כגיבוב
מוני שימוש וחיוב, ויומן פעילות: מי חיבר, שינה או מחק מה, ומאיזו כתובת IP

מי רואה את זה

החברים בסביבת העבודה שלכם, כל אחד לפי ההרשאות של התפקיד שלו. אצלנו, מערכת הניהול של הצוות מציגה מסלולים, שימוש ומספרים — לא הודעות, לא אנשי קשר ולא שיחות. מי שמפעילים את השרתים יכולים להגיע למסד הנתונים עצמו, ועושים זאת רק כדי לתקן תקלה או לטפל בפנייה שלכם.

טקסט לתשובת AI

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, רק כשתשובות AI מופעלות: תיאור העסק שכתבתם, השירותים, המחירים, שעות הפעילות וקישור התשלום שהגדרתם, ההודעות האחרונות בשיחה (חמש כברירת מחדל), שם הלקוח והתורים הקרובים שלו אצלכם. ללקוח שהגיע דרך קישור לצ׳אט ש-DutyDesk Planner יצר לאחד הפוסטים שלכם, ורק אם בחרתם לשלוח איתו את המילים של הפוסט: המילים האלה, והאם סימנתם שהפריט נמכר. אם השירות מזהה בעצמו את השפה של הלקוח, נשלחת גם דגימה קצרה מההודעה שלו ל-Claude API של Anthropic. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

כשאתם מנסים את ה-AI בעצמכם

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, בכל מסלול, כשאתם מבקשים זאת בהגדרות ה-AI, בעורך הכללים, בטופס או ב-DutyDesk Planner. ב«שאלה לבוט»: תיאור העסק, שעות הפעילות, השירותים וקישור התשלום שלכם, והשאלה שהקלדתם. ב«כתיבה מהאתר או מקבצים» וב«כתיבה עם AI»: העמודים מהאתר והקבצים שבחרתם, ומה שביקשתם. כש-DutyDesk Planner, שמחובר לסביבת העבודה שלכם, כותב או מתרגם בשבילכם פוסט: תיאור העסק, השירותים ושעות הפעילות שלכם, ומה שנתתם לו: הבקשה, הפוסט או פרטי המודעה. ב«תרגום עם AI» בטופס: המילים של הטופס עצמו, הכותרת, הפתיח, השאלות, ההערות והאפשרויות, ואף פעם לא מה שלקוחות מילאו. התשובה או הטיוטה מוצגות רק לכם ולא נשלחות לאף אחד. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

הודעות קוליות

נשלחות ל-Gemini API של Google כדי להפוך לטקסט. התמלול פועל כברירת מחדל, ואפשר לכבות אותו בהגדרות. הטקסט נשמר עם ההודעה; ההקלטה עצמה לא נשמרת אצלנו.

תמונות וקבצים מלקוחות

תמונה או קובץ שלקוח שולח בשיחה פרטית בוואטסאפ או בטלגרם — תמונה, PDF, קובץ Word, Excel או טקסט, עד 16 MB — נשמרים באחסון קבצים פרטי של Google Cloud באותו אזור, כדי שתוכלו לראות אותם בשיחה. הם נמחקים אוטומטית 90 יום אחרי שהגיעו, יחד עם שם הקובץ, ותוך שבוע נוסף נמחקים סופית גם מהאחסון שלנו. בשיחה נשארת רק הערה שהתקבלה תמונה או קובץ. הם לא נשלחים לשום מודל AI. מיקום שלקוח משתף נשמר כקישור למפה, כמו כל הודעה אחרת. סרטונים, מדבקות ותמונות לצפייה חד-פעמית לא נשמרים.

טפסים שלקוחות ממלאים

טופס שהעסק שולח לפני תור, כמו הצהרת בריאות או טופס פרטים, מגיע ללקוח כקישור בשיחה וממולא בעמוד שלנו. העסק יכול גם לפרסם טופס שכל אחד יכול לפתוח, מקוד QR בדלפק או מקישור שהוא משתף בעצמו; מי שממלא אותו מוסר קודם שם ומספר טלפון, והעסק מקבל עבורו כרטיס לקוח. העסק מחליט מה הטופס שואל ולמה — הצהרת בריאות היא מידע רגיש, וההחלטה לבקש אותה היא של העסק. התשובות, החתימה והתמונות (נשמרות כתמונות) והשאלות כפי שנשאלו נשמרות בסביבת העבודה, בכרטיס הלקוח; תשובה שהטופס מסמן כשייכת לכרטיס, כמו שם, כתובת מייל, מספר טלפון או יום הולדת, מועתקת אליו. נציגים, מנהלים והבעלים של סביבת העבודה רואים אותן; צופים רואים רק כמה טפסים מולאו. חברי צוות שביקשו התראות מקבלים מייל או הודעת Telegram על טופס שהתקבל, עם שם הטופס והלקוח ובלי התשובות. מנהל יכול להוריד אותן כקובץ CSV, וכל הורדה נרשמת ביומן הפעילות; מנהל יכול גם למחוק טופס שמולא. הן לא נשלחות לשום מודל AI, לא מוצגות במערכת הניהול של הצוות שלנו ולא נכתבות ביומני השרת שלנו. הקישור האישי של לקוח עובד פעם אחת בלבד ולכל היותר 30 יום, תזכורת מביאה קישור שני לאותו טופס, ומכל אחד מהם נשמר אצלנו רק גיבוב; הקישור הפתוח של טופס עובד עד שהעסק מכבה אותו או מחליף אותו.

בקשות ביקורת

אם העסק הפעיל ביקורות, לקוח מקבל אחרי תור קישור בשיחה לעמוד שלנו. העמוד מציע לכולם את דף הביקורות של העסק ב-Google, ובנפרד כוכבים והערה שרק העסק רואה. בסביבת העבודה נשמרים מתי הבקשה נשלחה ומתי העמוד נפתח, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם. אפשר לשנות דירוג במשך 7 ימים, והקישור עובד 30 יום. ביקורת שנכתבת ב-Google עוברת ל-Google, לפי התנאים שלה, ולא חוזרת אלינו. נציגים, מנהלים והבעלים רואים את הדירוגים וההערות; צופים רואים רק את הסיכומים. הם לא נשלחים לשום מודל AI, לא מוצגים במערכת הניהול של הצוות שלנו ולא נכתבים ביומני השרת שלנו. מהקישור נשמר אצלנו רק גיבוב.

סידור עבודה

אם העסק מתכנן את המשמרות שלו ב-DutyDesk, נשמרים השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות שלו, ואם כל משמרת אושרה או סומנה ב«לא אוכל להגיע». כל איש צוות מקבל את השבוע שלו בהודעה בוואטסאפ או בטלגרם, עם קישור לעמוד שלנו שמציג רק את המשמרות שלו, ואנחנו רושמים מתי העמוד נפתח לראשונה. כדי לשלוח את ההודעות האלה, לכל איש צוות נוצר גם כרטיס איש קשר עם התגית Staff. צופים רואים את הסידור בלי מספרי טלפון; נציגים רואים גם את המספרים; מנהלים והבעלים מתכננים אותו ויכולים להעתיק את הקישור של איש צוות. קישור מפסיק לעבוד 14 יום אחרי סוף השבוע שלו. סידור העבודה לא נשלח לשום מודל AI ולא מוצג במערכת הניהול של הצוות שלנו. מנהל יכול למחוק איש צוות לצמיתות: השם, המספר והמשמרות שכבר היו נמחקים, וכרטיס איש הקשר נשאר באנשי קשר, שם אפשר למחוק אותו.

קישור לתשלום וקבלות

קישור התשלום שהגדרתם — Bit, PayBox או דף תשלום — נשלח ללקוחות כמו שהוא, בתזכורות ובתשובות, ואנחנו לא סופרים מי לחץ עליו. סימון «התבקשה מקדמה» או «שולם» על תור נשמר עם התור, וכל שינוי נרשם ביומן הפעילות. במסלול Grow ומעלה אפשר לחבר את החשבון שלכם במערכת הנהלת חשבונות אחת — Morning, iCount, Invoice4U או Keep: המפתח או הטוקן שהיא נותנת לכם נשמר מוצפן, במפתח ששייך לסביבת העבודה בלבד, ולא מוצג שוב. כשמבקשים קבלה על תור ששולם, נשלחים למערכת הזו שם הלקוח, מספר הטלפון שלו אם הוא בכרטיס והמערכת מקבלת אותו, על מה שולם, הסכום, אמצעי התשלום והתאריך, והמערכת מפיקה את הקבלה בחשבון שלכם, לפי התנאים שלה. ב-iCount וב-Invoice4U הקבלה נרשמת על לקוח מרשימת הלקוחות שלכם שם, ואם אין לקוח בשם הזה, נוסף לרשימה לקוח חדש בשם הזה (וב-Invoice4U גם עם מספר הטלפון). אנחנו לא שולחים למערכת כתובת מייל ומבקשים ממנה לא לשלוח דבר, ולכן היא לא שולחת ללקוח כלום; הקישור לקבלה נשלח ללקוח בשיחה רק אם מי שביקש את הקבלה בחר בזה. אצלנו נשמרים הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה. נציגים, מנהלים והבעלים רואים אותם; הם לא נשלחים לשום מודל AI ולא מוצגים במערכת הניהול של הצוות שלנו. מחיקת איש הקשר או התור מוחקת אותם אצלנו, וביומן הפעילות נשארים רק מספר הקבלה והסכום, בלי שם. הקבלה עצמה, וכל לקוח שהמערכת הוסיפה לרשימה שלכם, נשארים בחשבון שלכם במערכת הזו.

מיילים והתראות

נשלחים מתיבת הדואר שלנו ב-Google: הזמנות לצוות, איפוס סיסמה, התראה כשמכסה עומדת להיגמר, ולחברי צוות שבחרו בזה — גם בקשה של לקוח לדבר עם נציג, עם ההודעות האחרונות מהשיחה. כשהבוט קובע, מזיז או מבטל תור, נשלחת התראה עם שם הלקוח והמועד: לבעלים ולמנהלים, אלא אם כיבו אותה, ולנציגים שהפעילו אותה. במסלול Grow ומעלה, כשמשייכים שיחה לחבר צוות, נשלחת אליו התראה עם שם מי ששייך אותה, שם הלקוח וקישור לשיחה, אלא אם כיבה אותה. מי שחיברו את טלגרם מקבלים את אותן התראות דרך הבוט שלנו בטלגרם.

גיבויים

עותק לילי של מסד הנתונים ב-Google Cloud Storage, באותו אזור, מוצפן באחסון. נמחק אוטומטית אחרי 60 יום.

תשלומים

Stripe. פרטי הכרטיס לא עוברים דרכנו ולא נשמרים אצלנו. אצלנו נשמר על מה חויב כל חודש, והמזהה ש-Stripe נותן לחשבון שלכם.

הערוצים שאתם מחברים

וואטסאפ

המספר מקושר כמכשיר של החשבון שלכם, וההתחברות רצה על השרת שלנו. ההודעות מגיעות אלינו כמו שהן מגיעות לוואטסאפ ווב, ואנחנו לא מבקשים מוואטסאפ את כל היסטוריית השיחות שלכם.

טלגרם

בוט שאתם יוצרים ב-BotFather, ומתחבר עם הטוקן שלו. ההודעות מגיעות אלינו דרך ה-Bot API הרשמי של טלגרם.

פייסבוק ואינסטגרם

עוד לא זמינים. בהמשך מפורט מה יחול כשיהיו.

נתוני Google שלכם

אם חיברתם יומן Google ל-DutyDesk Cloud, השירות מבקש מ-Google שלוש הרשאות ליומן ולא יותר: לראות אם שעה מסוימת תפוסה (calendar.events.freebusy), לקרוא את רשימת היומנים שלכם בלבד (calendar.calendarlist.readonly), וליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned), כדי שהתורים שנקבעים ב-DutyDesk יופיעו ביומן שלכם. לצד אלה הוא מבקש את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון הוא מחובר.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא שום הרשאה לקרוא את האירועים שלכם, והתוכן של האירועים שלכם לא נקרא אף פעם. השירות כותב ליומן רק אם בחרתם יומן לתורים, רק ליומן האחד הזה, ורק את האירועים שהוא עצמו יצר. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם, לא על יומנים שאחרים שיתפו איתכם. אפשר גם להשאיר את ההרשאה הזו לא מסומנת במסך של Google, ואז היומן רק נקרא ושום דבר לא נכתב בו. אפליקציית המחשב DutyDesk Desktop מבקשת את אותן הרשאות, אבל הכול נשאר אצלה במחשב — הפירוט בסעיף הבא.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם באמת פנויים בהן, לפי היומנים שבחרתם — עד 50 — ואם בחרתם יומן לתורים, כדי לרשום בו את התורים שנקבעים ב-DutyDesk ולעדכן אותם שם.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור אילו מהם נחשבים ואיזה יומן מקבל תורים. מהיומנים שנחשבים — בדיקת פנוי/תפוס בלבד: Google מחזיר טווחי זמן תפוסים, בלי כותרות, בלי משתתפים ובלי תוכן.

מה נכתב

רק אם בחרתם יומן לתורים: אירוע לכל תור שנקבע ב-DutyDesk, ביומן הזה. שם הלקוח ככותרת (אחרי הכותרת של התור, אם יש לו), השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, סימון של האירוע כזמן פנוי, וסימון פרטי שמקשר אותו לתור. כשתור נדחה או מבוטל ב-DutyDesk, האירוע מתעדכן או נמחק. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק, ושום אירוע לא נקרא.

איפה זה נשמר

הטוקן נשמר במסד הנתונים שלנו באזור me-west1, מוצפן לפני הכתיבה, ואי אפשר לקרוא אותו חזרה מלוח הבקרה. טווחי הזמן התפוסים נשמרים בסביבת העבודה שלכם לימים שהבוט מציע בהם תורים, ומתעדכנים כשהם משתנים. לכל תור שנרשם ב-Google נשמרים היומן והמזהה של האירוע, כדי שאפשר יהיה לעדכן אותו.

עם מי זה משותף

עם אף אחד. לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google, והטוקן וכל טווחי הזמן התפוסים נמחקים מהמסד שלנו. תורים שכבר נרשמו נשארים ביומן שלכם. כדי להפסיק לרשום תורים בלי לנתק, בחרו שהתורים יישמרו רק ב-DutyDesk. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

נתוני Google שלכם באפליקציית המחשב

אפליקציית המחשב DutyDesk Desktop יכולה לרשום את התורים שהיא קובעת ישירות ביומן Google שלכם. אם חיברתם יומן, היא מבקשת מ-Google את אותן שלוש הרשאות שהענן מבקש: בדיקת פנוי/תפוס (calendar.events.freebusy), רשימת היומנים (calendar.calendarlist.readonly), והרשאה ליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned). לצד אלה היא מבקשת את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון היא מחוברת.

כל זה קורה במחשב שלכם. האפליקציה פונה ל-Google ישירות: שום דבר מהיומן שלכם לא עובר דרך השרתים שלנו ולא נשמר אצלנו, ואין לנו עותק של הטוקן.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא הרשאה לקרוא את כל האירועים בכל היומנים שאתם רואים. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם — לא על יומנים שאחרים שיתפו איתכם.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם פנויים בהן, לרשום ביומן שבחרתם את התור שהם קבעו — או שאתם קבעתם עבורם — ולעדכן או לבטל אותו שם כשהוא משתנה באפליקציה.

מה נכתב

אירוע לכל תור שהאפליקציה קובעת, ביומן האחד שבחרתם לתורים: שם הלקוח ככותרת, השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, וסימון פרטי שמזהה את האירוע כשייך לאפליקציה. כשתור נדחה או מבוטל באפליקציה, האירוע מתעדכן או מבוטל. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור איזה יומן מקבל תורים ואילו רק נחשבים תפוסים. מהם — טווחי זמן תפוסים, בלי כותרות ובלי תוכן. כדי שהתורים באפליקציה יתאימו ליומן, היא קוראת גם את האירועים ביומן התורים: את אלה שהיא יצרה היא שומרת, וכל אירוע אחר נזרק בלי להישמר.

איפה זה נשמר

במחשב שלכם בלבד. הטוקן נשמר בתיקיית הנתונים של האפליקציה, מוצפן בעזרת מחזיק המפתחות של מערכת ההפעלה. התורים שהאפליקציה קבעה נשמרים במסד הנתונים המקומי שלה, עם שאר הנתונים. שום דבר מזה לא נשלח אלינו.

עם מי זה משותף

עם אף אחד. המידע לא מגיע אלינו בכלל, לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

באפליקציה, ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google והטוקן נמחק מהמחשב. תורים שכבר נקבעו נשארים ביומן שלכם. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

שימוש מוגבל

השימוש של DutyDesk במידע שהתקבל מממשקי Google, וכל העברה שלו ליישום אחר, כפופים ל־Google API Services User Data Policy, לרבות דרישות השימוש המוגבל (Limited Use).

נתוני פייסבוק ואינסטגרם שלכם

חיבור של דף פייסבוק או של חשבון אינסטגרם עסקי עוד לא זמין. כשיהיה, זה מה שיחול.

השירות יבקש הרשאה לקרוא את ההודעות שהלקוחות שולחים לדף או לחשבון ולענות להן, ולא יותר מזה. הוא לא יקרא את הפוסטים, התגובות, העוקבים או הנתונים הסטטיסטיים, לא ישלוף את הפרופילים של הלקוחות, ולא ייגע בפרופיל האישי שלכם.

Meta מאפשרת לעסק לענות במשך 24 שעות מרגע שהלקוח כתב, והשירות יענה אוטומטית רק בתוך החלון הזה. הוא לא ישלח קמפיינים במסנג׳ר או באינסטגרם.

טוקן הגישה יישמר מוצפן במסד הנתונים שלנו באזור me-west1, וההודעות יישמרו בסביבת העבודה שלכם לצד שאר השיחות. ניתוק בלוח הבקרה מוחק את הטוקן אצלנו ומסיים את הגישה מיד. אפשר גם להסיר את DutyDesk מהגדרות «אינטגרציות עסקיות» בחשבון הפייסבוק שלכם.

תנאי הפלטפורמה של Meta

השימוש של DutyDesk במידע שיתקבל מממשקי Meta כפוף לתנאי הפלטפורמה של Meta ולמדיניות Messenger Platform, לרבות חלון ההודעות שתואר למעלה.

אפליקציית המחשב DutyDesk Desktop

DutyDesk Desktop נמכרת בנפרד מהמסלולים בענן, ברישיון שנתי ל-2 מחשבים. היא פועלת על המחשב שלכם ומשתמשת במפתחות AI משלכם. השיחות, אנשי הקשר, הכללים ופרטי החיבור שלה נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שהיא שולחת אלינו הוא בדיקת תוקף של מפתח המוצר מול שרת הרישוי, כל כמה דקות — המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, וכתובת ה-IP של הבקשה. כשמפעילים אותה, וגם אם שרת הרישוי עוד לא יודע איך המחשב נקרא או שהשם שלו השתנה, היא שולחת גם את שם המחשב ואת מערכת ההפעלה, כדי שרשימת המחשבים של הרישיון תבחין ביניהם. כשתשובות AI מופעלות, ההודעות שצריך לענות עליהן נשלחות מהמחשב שלכם ישר לספק ה-AI שאת המפתח שלו הזנתם, לפי ההסכם שלכם איתו, ולא דרכנו.

שרת הרישוי שומר את מה שדרוש כדי לבדוק רישיון, ולא יותר:

בעלי רישיון

שם, כתובת מייל, שפת ממשק, והאם ביקשתם לקבל במייל עדכוני מוצר או טיפים. בכל מייל כזה יש קישור להפסקת המיילים.

רישיון

מפתח המוצר, המסלול, תאריך התפוגה ומספר המחשבים.

הפעלות

מזהה מכונה מגובב לכל מחשב, כדי לספור אותם. זה גיבוב חד-כיווני: אי אפשר לשחזר ממנו את המחשב, והוא לא מזהה אתכם מחוץ להקשר של הרישיון. לצידו נשמרים שם המחשב ומערכת ההפעלה כפי שהאפליקציה מדווחת עליהם, ורק בעלי הרישיון ואנחנו רואים אותם.

יומן פעילות

הנפקה, הפעלה, שחרור מחשב, חידוש וביטול — לתמיכה ולהנהלת חשבונות.

DutyDesk Planner, הפרסום בקבוצות פייסבוק

DutyDesk Planner נמכר בנפרד, ברישיון חודשי ל-2 מחשבים שהמחיר שלו נקבע לפי חשבונות הפייסבוק שמהם מפרסמים. הוא פועל על המחשב שלכם ומפעיל את חשבונות הפייסבוק שלכם דרך Google Chrome שעל אותו מחשב. את ההתחברות לפייסבוק עושים ב-Chrome, והסיסמה עוברת לפייסבוק ולא ל-Planner. ההתחברויות נשמרות בפרופילים של Chrome על אותו מחשב. הקבוצות, הרשימות, הפוסטים, התמונות, התגובות והנתונים של החשבונות שלכם נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שאתם מפרסמים והתשובות שאתם כותבים עוברים מהמחשב שלכם לפייסבוק, בשם החשבון שלכם, וחלה עליהם המדיניות של Meta. באותה דרך Planner קורא מפייסבוק את התגובות על הפוסטים שלכם, כדי להציג לכם אותן.

מה שהוא שולח אלינו הוא בדיקת תוקף של מפתח הרישיון מול שרת הרישוי — כשהוא נפתח, בפרקי זמן ששרת הרישוי קובע, אחרי שהמחשב מתעורר וכשלוחצים «בדיקה עכשיו» — ובה המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, המוצר שהמפתח שייך לו וכתובת ה-IP של הבקשה. בנוסף, כשהוא נפתח וכל שש שעות, הוא בודק בשרת שלנו אם יש גרסה חדשה של האפליקציה ואם יש כללי דף חדשים, שבעזרתם הוא מתמצא בדפים של פייסבוק. אלה הורדות רגילות, ומהן אנחנו רואים את כתובת ה-IP של הבקשה ולא יותר. שום דבר על חשבונות הפייסבוק, הקבוצות, הפוסטים או התגובות שלכם לא נשלח אלינו, חוץ ממה שאתם בוחרים לשלוח לסביבת עבודה של DutyDesk ש-Planner מחובר אליה: לכל קישור לצ׳אט שהוא יוצר שם, השמות של הפוסט ושל הקבוצה, המבצע שהפוסט שייך אליו, ואם הפעלתם את זה, גם המילים של הפוסט והאם סימנתם שהפריט נמכר; והבקשה או הפוסט שאתם מבקשים מה-AI של סביבת העבודה לכתוב או לתרגם. התגובות על הפוסטים שלכם לא נשלחות אף פעם.

שרת הרישוי שומר על רישיון של Planner את אותם פרטים שהוא שומר על רישיון של DutyDesk Desktop, כמפורט למעלה, וגם לאיזה מוצר הרישיון שייך.

כשאתם פונים אלינו לעזרה, אתם בוחרים מה לשלוח: את הדוח מ«בדיקה» בהגדרות של Planner, או צילום מסך. אנחנו רואים רק את מה שאתם שולחים.

המידע של Planner נמחק כשאתם מוחקים אותו: מסירים את האפליקציה או מוחקים את תיקיית הנתונים שלה, שבה נמצאים גם הפרופילים של Chrome והגיבויים השבועיים. גיבוי ששמרתם במקום אחר נשאר אצלכם, ואתם מוחקים אותו. אנחנו לא יכולים למחוק בשבילכם, כי אין לנו גישה למחשב.

האתר ולוח הבקרה: עוגיות ומדידה

ההעדפות שבחרתם באתר לערכת הצבעים ולנגישות נשמרות בדפדפן שלכם ולא נשלחות אלינו. הגופנים של האתר נטענים מ-Google Fonts, כך ש-Google רואה את הכתובת של הדפדפן שמבקש אותם. כשאתם מתחברים ללוח הבקרה נשמרת עוגייה שמשאירה אתכם מחוברים.

מדידה, רק באישור שלכם. באתר ובלוח הבקרה אנחנו שואלים אם מותר לנו להשתמש ב-Google Analytics, שירות של Google Ireland Limited, כדי לספור ביקורים ולראות באילו עמודים משתמשים, מאיפה מגיעים אלינו (למשל מחיפוש או מקמפיין), וכמה צעדים שחשובים לנו: לחיצה על התחלת תקופת ניסיון, הרשמה, הורדה של DutyDesk Desktop, פנייה אלינו וחיבור ערוץ בלוח הבקרה. עד שתאשרו, שום דבר לא נטען מ-Google Analytics ושום דבר לא נשלח אליו.

אם אישרתם, Google Analytics שומר עוגיות ששמן מתחיל ב-_ga כדי להבחין בין ביקורים, ומקבל את כתובת ה-IP של הדפדפן, את סוג הדפדפן וגודל המסך, ואת העמודים שפתחתם. הוא לא מקבל את השם שלכם, את כתובת המייל או שום דבר מסביבת העבודה ומהשיחות שלכם, ולפני השליחה אנחנו מסירים מכתובות העמודים חלקים שעלולים לזהות אתכם, כמו קישור לאיפוס סיסמה. Google מעבד את המידע בשבילנו לפי תנאי עיבוד הנתונים שלו, ייתכן שמחוץ לישראל, ושומר אותו חודשיים. תכונות הפרסום ו-Google Signals כבויים, ואנחנו לא משתפים את המידע עם Google לצרכים שלו.

הבחירה שלכם נשמרת לשישה חודשים בעוגייה בשם dutydesk_consent, המשותפת לאתר וללוח הבקרה. אפשר לשנות אותה בכל זמן ב«הגדרות עוגיות» בתחתית האתר או בתפריט החשבון בלוח הבקרה. סירוב לא עולה לכם כלום: הכול עובד בדיוק אותו דבר.

שמירה ומחיקה

השיחות, אנשי הקשר וכל השאר נשמרים כל עוד סביבת העבודה קיימת; שום דבר בה לא פג מעצמו, חוץ מתמונות וקבצים שלקוחות שולחים: הם נמחקים 90 יום אחרי שהגיעו, ותוך שבוע נוסף נמחקים סופית גם מהאחסון. סביבת עבודה שתקופת הניסיון או המסלול שלה הסתיימו מושהית, ולא מתרוקנת.

טפסים שלקוחות מילאו והדירוגים שנתנו נשמרים יחד עם איש הקשר שלהם, ומחיקת איש הקשר — או של סביבת העבודה — מוחקת גם אותם. סידור העבודה שומר את אנשי הצוות ואת המשמרות שעברו עד שסביבת העבודה נמחקת, אלא אם מנהל מוחק איש צוות, ואז הוא והמשמרות שכבר היו נמחקים מיד; מי שרק הוצאו מהסידור נשארים בהיסטוריה שלו, עם השם והמספר.

מחיקת סביבת עבודה: הבעלים מוחקים אותה בהגדרות, אחרי שביטלו את המסלול שלה אם יש. כל הערוצים מתנתקים מיד, ומרגע הבקשה מתחיל שעון של 30 יום, שבסופו סביבת העבודה — ההודעות, אנשי הקשר, הכללים והקבצים — נמחקת. שלושים יום ולא מיד, כדי שלחיצה מוטעית ביום שישי תהיה הפיכה. גיבויים שכבר נכתבו נמחקים מעצמם 60 יום אחרי שנוצרו.

את סביבת העבודה הראשונה שחשבון פתח אי אפשר למחוק מלוח הבקרה. כדי למחוק את החשבון יחד איתה, כתבו לנו, ונמחק את שניהם באותו אופן.

הודעות שמגיעות מערוץ נשמרות בתור הטיפול שבעה ימים אחרי שטופלו, או 30 יום אם הטיפול נכשל. רשומות חיוב נשמרות למשך התקופה שהחוק מחייב.

אם אפליקציית המחשב מותקנת אצלכם, הנתונים שלה נמחקים כשאתם מוחקים אותם: הסרת האפליקציה, או מחיקת תיקיית הנתונים שלה. אנחנו לא יכולים לעשות זאת עבורכם, כי אנחנו לא מגיעים אליהם.

הזכויות שלכם

אתם רשאים לבקש לעיין בנתונים שאנחנו מחזיקים עליכם, לתקן אותם או למחוק אותם. כתבו לכתובת שלמטה ונענה.

אם אתם לקוחות של עסק שמשתמש ב-DutyDesk, העסק הוא שמחליט על השיחות שלכם איתו, על הטפסים שמילאתם עבורו ועל הדירוגים שנתתם לו, וכדאי לפנות אליו. אם תפנו אלינו, נעביר את הבקשה לעסק ונעזור לו לענות עליה. כדי להפסיק לקבל ממנו קמפיינים, ענו במילת הסרה, כמו «הסר».

אם אתם חלק מהצוות של עסק שמתכנן את המשמרות ב-DutyDesk, כך גם לגבי הפרטים והמשמרות שלכם: העסק הוא שמחליט עליהם, וכדאי לפנות אליו.

שינויים במסמך

שינוי מהותי יפורסם כאן, ותאריך העדכון שלמעלה ישתנה איתו. שינוי בהרשאות שהשירות מבקש מ-Google ידרוש מכם לאשר אותן מחדש, כך שדבר לא יתרחב בשקט.

יצירת קשר

alphamergers@gmail.com

Where your conversations are, and who can reach them

DutyDesk runs on our servers in Israel. Your customer conversations, your contacts and your rules are with us, and this document says exactly what is kept, for how long, and who it goes to.

Last updated: 2026-10-20 · AlphaMerge

What this covers

This policy covers the DutyDesk service, the DutyDesk Desktop and DutyDesk Planner applications, and this website. The two applications work differently, and each has a section of its own below.

For the conversations, customer records, filled-in forms, ratings and staff roster in a workspace, the business that owns the workspace decides what is collected and why, and we handle that data on its behalf. For the accounts of the people who sign in, for billing and for this website, we decide, and this policy says how.

The service drives a WhatsApp account through an interface that is not the official WhatsApp Business API. That is your decision and your responsibility, and the terms of service describe it.

DutyDesk Cloud: what we hold

Your workspace lives in a database on a server of ours in Google Cloud’s me-west1 region — Tel Aviv — and nowhere else. The database cannot be reached from the internet except through the service itself.

The content of messages sent and received, and the conversations themselves
Contacts and customer records: names, phone numbers, notes, tags, stages, your own fields and appointments — and who asked to be taken off your list, with the word they sent
Forms and what customers filled in on them: the answers, a signature or photos if the form asks for them, and the questions as they were asked
Review requests: when each was sent and opened, whether the Google button was pressed, and the rating and comment if the customer left them
The staff roster: each person’s name, phone number and position, their shifts and answers, and the messages that told them
Payments on appointments: what was marked on each (“Deposit asked” or “Paid”), and if you connected an accounting service (Morning, iCount, Invoice4U or Keep), the amount, the method, the day, and the receipt’s number and link
Rules, flows, campaigns and any files attached to them
The WhatsApp sign-in and every connection token — sealed with AES-256-GCM, under a key that belongs to the workspace alone, before they are written down
Your team: names, email addresses and roles; passwords only as a scrypt hash, and sign-ins only as a hash
Usage and billing counters, and an activity log of who connected, changed or deleted what, and from which IP address

Who can see it

The members of your workspace, each as far as their role allows. On our side, the staff console shows plans, usage and counts — not messages, contacts or conversations. The people who run the servers can reach the database itself, and do so only to fix a fault or to deal with a request of yours.

Text for an AI reply

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, only while AI replies are on: the business description you wrote, the services, prices, opening hours and payment link you set, the latest messages of the conversation (five by default), the customer’s name and their upcoming appointments with you. For a customer who came through a chat link that DutyDesk Planner made for one of your posts, and only if you chose to send the post’s words with it: those words, and whether you marked it sold. If the service works out a customer’s language for itself, a short sample of their message also goes to Anthropic’s Claude API. Neither Anthropic nor Google trains models on this data.

When you try the AI yourself

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, on any plan, when you ask for it in the AI settings, the rule editor, a form or DutyDesk Planner. With “Ask the bot”: the business description, your opening hours, services and payment link, and the question you typed. With “Write it from my website or files” and “Write it with AI”: the pages of the website and the files you chose, and anything you asked for. When DutyDesk Planner, connected to your workspace, writes or translates a post for you: the business description, your services and opening hours, and what you gave it — the brief, the post or the listing’s details. With “Translate with AI” on a form: the form’s own words — its heading, introduction, questions, notes and choices — and never anything a customer filled in. The answer or the draft is shown only to you and is not sent to anyone. Neither Anthropic nor Google trains models on this data.

Voice notes

Sent to Google’s Gemini API to be turned into text. Transcription is on by default and can be switched off in Settings. The text is kept with the message; the recording itself is not kept with us.

Photos and files customers send

A photo or a file a customer sends in a one-to-one chat on WhatsApp or Telegram — a photo, a PDF, a Word, Excel or text file, up to 16 MB — is kept in a private Google Cloud Storage bucket in the same region, so you can see it in the conversation. It is deleted automatically 90 days after it arrived, together with the name it was sent under, and is gone from our storage within a week after that; the conversation keeps only a note that a photo or a file arrived. It is never sent to an AI model. A location a customer shares is kept as a map link, like any other message. Videos, stickers and view-once photos are not kept.

Forms customers fill in

A form the business sends before a visit, such as a health declaration or an intake form, reaches the customer as a link in the chat and is filled in on a page of ours. A business can also put up a form anybody can open, from a QR code at the counter or a link it shares itself; whoever fills that one in first gives their name and phone number, and the business gets a contact card for them. The business decides what the form asks and why — a health declaration is sensitive information, and asking for it is the business’s decision. The answers, the signature and any photos (kept as images), and the questions as they were asked are kept in the workspace, on the customer’s card; an answer the form says belongs on the card, such as a name, an email address, a phone number or a birthday, is copied there. Agents, admins and the owner of the workspace see them; viewers see only how many were filled in. Members who asked to be told get an email or a Telegram message that a form came in, naming the form and the customer and never the answers. An admin can download them as a CSV, and each download is recorded in the activity log; an admin can also delete one. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. A customer’s own link works only once and for 30 days at most, a reminder carries a second link to the same form, and we keep only a hash of each; a form’s open link works until the business turns it off or replaces it.

Review requests

If the business has turned reviews on, a customer gets a link in the chat after a visit, to a page of ours. The page offers everyone the business’s Google review page and, separately, stars and a comment that only the business sees. In the workspace we keep when the request was sent and when the page was opened, whether the Google button was pressed, and the rating and comment if the customer left them. A rating can be changed for 7 days, and the link works for 30. A review written on Google goes to Google, under Google’s terms, and does not come back to us. Agents, admins and the owner see the ratings and comments; viewers see only the totals. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. We keep only a hash of the link.

The staff roster

If the business plans its shifts in DutyDesk, it keeps each member of staff’s name, phone number and position, their shifts, and whether they confirmed each one or said they can’t make it. Each person gets their week in a message on WhatsApp or Telegram, with a link to a page of ours that shows only their own shifts, and we record when it was first opened. To send those messages, each person also gets a contact card, tagged Staff. Viewers see the roster without phone numbers; agents also see the numbers; admins and the owner plan it and can copy a person’s link. A link stops working 14 days after the end of its week. The roster is not sent to any AI model and is not shown in our staff console. An admin can delete a member of staff for good: their name, number and the shifts they worked go, and their contact card stays in Contacts, where it can be deleted.

The payment link and receipts

The payment link you set — Bit, PayBox or a payment page — goes to customers as it is, in reminders and answers, and we do not count who opens it. Marking an appointment “Deposit asked” or “Paid” is kept with the appointment, and each change is written in the activity log. On Grow and up you can connect your own account with one accounting service — Morning, iCount, Invoice4U or Keep: the key or token it gives you is sealed under a key that belongs to the workspace alone, and is never shown again. When a receipt is asked for on a paid appointment, that service is sent the customer’s name, their phone number if the card has one and the service takes it, what was paid for, the amount, the method and the day, and it issues the receipt in your account, under its own terms. iCount and Invoice4U file the receipt under a customer in your customer list there, and add one with that name (and, in Invoice4U, the phone number) when there is none. We send the service no email address and ask it to send nothing, so it sends the customer nothing; the receipt’s link goes to the customer in the chat only if whoever asked for the receipt chose that. We keep the amount, the method, the day, and the receipt’s number and link. Agents, admins and the owner see them; they are not sent to any AI model and are not shown in our staff console. Deleting the contact or the appointment deletes them here, and the activity log keeps only the receipt’s number and amount, with no name. The receipt itself, and any customer the service added to your list, stay in your account with that service.

Emails and alerts

Sent from our Google mailbox: team invitations, password resets, a warning when an allowance is running out, and — to team members who chose it — a customer’s request for a person, with the latest messages of that conversation. When the bot books, moves or cancels an appointment, an alert with the customer’s name and the time goes to the owner and admins unless they turn it off, and to agents who turn it on. On Grow and up, a team member who is given a conversation by a colleague is told, with the colleague’s name, the customer’s name and a link to the conversation, unless they turn it off. Members who linked Telegram get the same alerts through our Telegram bot.

Backups

A nightly copy of the database to Google Cloud Storage in the same region, encrypted at rest. Deleted automatically after 60 days.

Payments

Stripe. Card details do not pass through us and are not stored with us. We keep what each month was billed for, and the reference Stripe gives your account.

The channels you connect

The number is linked as a device of your own account, and the session runs on our server. Messages reach us the way they reach WhatsApp Web, and we do not ask WhatsApp for your full chat history.

A bot you create at BotFather, connected with its token. Messages reach us through Telegram’s official Bot API.

Facebook and Instagram

Not available yet. What will apply when they are is set out below.

Your Google data

If you connect a Google Calendar to DutyDesk Cloud, it asks Google for three calendar permissions and no more: permission to see whether a given time is taken (calendar.events.freebusy), permission to read the list of your calendars and nothing else (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned), so that the appointments booked in DutyDesk can appear in your calendar. Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

We deliberately do not ask for the broad calendar permission, nor for any permission to read your events, and DutyDesk Cloud never reads the contents of your events. It writes to your calendar only if you choose a calendar for appointments, only into that one calendar, and only the events it made itself. The permission to write reaches only calendars you own — not ones other people have shared with you. You can also leave that permission unticked on Google’s screen; the calendar is then read and never written to. DutyDesk Desktop asks for the same permissions but keeps everything on your computer; the next section covers it.

What it is used for

To offer your customers only times when you are genuinely free, on the calendars you chose — up to 50 of them — and, if you choose a calendar for appointments, to put the appointments booked in DutyDesk into it and keep them up to date there.

What is read

The list of your calendars, so you can choose which of them count and which one takes appointments. From the ones that count, a free/busy query only — Google returns blocks of busy time, with no titles, no attendees and no content.

What is written

Only if you choose a calendar for appointments: one event per appointment booked in DutyDesk, on that calendar — the customer’s name as the title (after the appointment’s own title, if it has one), their name and phone number in the description, the start and end time, the event marked as free time, and a private marker linking it to the appointment. When an appointment is moved or cancelled in DutyDesk, its event is changed or deleted. Nothing else on your calendar is created, changed or deleted, and no event is read.

Where it is stored

The OAuth token is stored in our database in the me-west1 region, sealed before it is written down, and cannot be read back out of the dashboard. The busy blocks are kept in your workspace for the days ahead the bot offers times in, and replaced as they change. For each appointment written to Google we keep the calendar and the event’s id, so the event can be changed later.

Who it is shared with

Nobody. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

Calendar → Connected calendar, Disconnect: the grant is revoked with Google, and the token and every busy block are deleted from our database. Appointments already written stay in your calendar. To stop writing appointments without disconnecting, choose to keep them in DutyDesk only. You can also remove the app from your Google account’s permissions page.

Your Google data in DutyDesk Desktop

DutyDesk Desktop can put the appointments it books straight into your Google Calendar. If you connect one, the app asks Google for the same three permissions as the cloud: free/busy (calendar.events.freebusy), the list of your calendars (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned). Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

All of this happens on your computer. The app talks to Google directly: nothing from your calendar passes through our servers or is stored by us, and the token never reaches us.

We deliberately do not ask for the broad calendar permission, nor for permission to read every event on every calendar you can see. The permission to write reaches only calendars you own — not ones other people have shared with you.

What it is used for

To offer your customers only times when you are free, to put the appointment they book — or you book for them — into the calendar you chose, and to change or cancel it there when it changes in the app.

What is written

One event per appointment the app books, on the one calendar you picked for bookings: the customer’s name as the title, their name and phone number in the description, the start and end time, and a private marker that tells the app the event is its own. When the appointment is moved or cancelled in the app, that event is changed or cancelled. Nothing else on your calendar is created, changed or deleted.

What is read

The list of your calendars, so you can choose which one takes bookings and which only count as busy. From those, blocks of busy time with no titles and no content. To keep its appointments in step with your calendar, the app also reads the events on the booking calendar: it keeps the ones it created and discards every other event without storing it.

Where it is stored

On your computer only. The OAuth token is kept in the app’s data folder, encrypted with your operating system’s keychain. The appointments the app booked are kept in its local database with the rest of its data. None of it is sent to us.

Who it is shared with

Nobody. We never receive it. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

In the app, Calendar → Connected calendar, Disconnect: the grant is revoked with Google and the token is deleted from your computer. Appointments already booked stay in your calendar. You can also remove the app from your Google account’s permissions page.

Limited Use

DutyDesk's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Your Facebook and Instagram data

Connecting a Facebook Page or an Instagram professional account is not available yet. When it is, this is what will apply.

The service will ask for permission to read the messages your customers send that Page or account and to reply to them, and nothing more. It will not read your posts, your comments, your followers or your insights, it will not fetch your customers’ profiles, and it will never touch your personal profile.

Meta allows a business to reply for 24 hours after a customer writes, and the service will reply automatically only inside that window. It will send no campaigns on Messenger or Instagram.

The access token will be held sealed in our database in the me-west1 region, and the messages in your workspace beside the rest of your conversations. Disconnecting in the dashboard deletes the token on our side and ends access at once. You can also remove DutyDesk in your Facebook account’s Business Integrations settings.

Meta Platform Terms

DutyDesk's use of information received from Meta's APIs will adhere to the Meta Platform Terms and the Messenger Platform policies, including the messaging window described above.

DutyDesk Desktop, the desktop application

DutyDesk Desktop is sold separately from the cloud plans, as a yearly licence for two computers. It runs on your own computer and uses AI keys of your own. Its conversations, contacts, rules and connection details sit in a local database on that computer, which we have no access to and hold no copy of.

What it sends us is a validity check of the product key against the licensing server, every few minutes — the key itself, a one-way hash of the computer’s hardware identifier, and the IP address of the request. When it is activated, and again if the licensing server has no name for the computer or the computer has been renamed, it also sends the computer’s name and operating system, so that the licence’s list of computers can tell them apart. When AI replies are on, the messages to be answered go from your computer to the AI provider whose key you entered, under your own agreement with that provider, and not through us.

The licensing server keeps what it needs to check a licence, and nothing beyond that:

Licence holders

Name, email address, interface language, and whether you asked for product news or tips by email. Every such email carries a link that stops them.

Licence

The product key, the plan, its expiry date and its seat count.

Activations

A hashed machine identifier per seat, so that seats can be counted. It is a one-way hash: your computer cannot be recovered from it, and it does not identify you outside the context of your licence. Beside it, the computer’s name and operating system as the app reports them, which only the licence’s owner and we see.

Activity log

Issue, activation, seat release, renewal and revocation — for support and accounting.

DutyDesk Planner, the Facebook group poster

DutyDesk Planner is sold separately, as a monthly licence for two computers, priced by the Facebook accounts you post from. It runs on your own computer and works your Facebook accounts through Google Chrome on that computer. You sign in to Facebook in Chrome, and your password goes to Facebook, never to Planner. The sign-ins stay in Chrome profiles on that computer. Your accounts’ groups, lists, posts, images, comments and statistics sit in a local database there, which we have no access to and hold no copy of.

What you post, and the replies you write, go from your computer to Facebook under your own account, and Meta’s own policies apply to them. Planner reads the comments on your posts from Facebook in the same way, to show them to you.

What it sends us is a validity check of the licence key against the licensing server — when it starts, at intervals the licensing server sets, after the computer wakes and when you press “Check now” — carrying the key itself, a one-way hash of the computer’s hardware identifier, which product the key is for, and the IP address of the request. At start-up and every six hours it also asks our server whether there is a newer version of the application, and newer page rules, which it uses to find its way around Facebook’s pages. Those are ordinary downloads, and they tell us the IP address of the request and nothing more. Nothing about your Facebook accounts, groups, posts or comments is sent to us, except what you choose to send to a DutyDesk workspace you connect Planner to: for each chat link it makes there, the names of the post and the group it is for, the promotion the post belongs to, and, if you turn it on, the post’s words and whether you marked it sold; and the brief or post you ask the workspace’s AI to write or translate. Comments on your posts are never sent.

The licensing server keeps the same records for a Planner licence as for a DutyDesk Desktop licence, listed above, and which product the licence is for.

When you ask us for help, you choose what to send: the report from “Check-up” in Planner’s settings, or a screenshot. We see only what you send.

Planner’s data is deleted when you delete it: uninstall it, or remove its data folder, which also holds its Chrome profiles and its weekly backups. A backup you saved somewhere else stays with you, and is yours to delete. We cannot do it for you, because we cannot reach the computer.

This website and the dashboard: cookies and analytics

The theme and accessibility choices you make on the website are kept in your own browser and never sent to us. The website’s fonts come from Google Fonts, so Google sees the address of the browser that asks for them. Signing in to the dashboard sets a cookie that keeps you signed in.

Analytics, only if you agree. On the website and in the dashboard we ask whether we may use Google Analytics, a service of Google Ireland Limited, to count visits and see which pages are used, where visitors arrive from (a search or a campaign, for example) and a few steps that matter to us: clicking to start a trial, registering, downloading DutyDesk Desktop, getting in touch, and connecting a channel in the dashboard. Until you agree, nothing is loaded from Google Analytics and nothing is sent to it.

If you agree, Google Analytics sets cookies whose names begin with _ga to tell visits apart, and receives your browser’s IP address, its type and screen size, and the pages you open. It does not receive your name, your email address or anything from your workspace or your conversations, and before anything is sent we strip the parts of a page address that could identify you, such as a password-reset link. Google processes this data for us under its data processing terms, possibly outside Israel, and keeps it for two months. Advertising features and Google signals are off, and we do not share the data with Google for its own purposes.

Your answer is kept for six months in a cookie named dutydesk_consent, shared by the website and the dashboard. Change it any time with “Cookie settings” at the foot of the website or in the dashboard’s account menu. Saying no costs you nothing: everything works exactly the same.

Retention and deletion

Conversations, contacts and everything else in a workspace are kept for as long as the workspace exists; nothing in it expires on its own, except the photos and files customers send, which are deleted 90 days after they arrived and are gone from our storage within a week after that. A workspace whose trial or plan has ended is paused, not emptied.

Forms customers filled in, and the ratings they gave, are kept with their contact, and deleting the contact — or the workspace — deletes them too. The roster keeps its staff and their past shifts until the workspace is deleted, unless an admin deletes a member of staff, which removes them and the shifts they worked at once; someone only taken off the roster stays in its history, with their name and number.

Deleting a workspace: the owner deletes it in Settings, once any plan on it is cancelled. Every channel is disconnected at once, and asking starts a thirty-day clock, at the end of which the workspace — the messages, the contacts, the rules and the files — is erased. Thirty days rather than at once, so that a misread dialog on a Friday is recoverable. Backups already written delete themselves sixty days after they were made.

The first workspace an account opened cannot be deleted from the dashboard. To delete your account together with it, write to us, and we will delete both the same way.

Messages arriving from a channel are held in the processing queue for seven days after they are handled, or thirty if handling failed. Billing records are kept for as long as the law requires them to be kept.

If you use the desktop application, its data is deleted when you delete it: uninstall it, or remove its data folder. We cannot do it for you, because we cannot reach it.

Your rights

You may ask to see the data we hold about you, to correct it, or to have it deleted. Write to the address below and we will answer.

If you are a customer of a business that uses DutyDesk, that business decides about your conversations with it, the forms you filled in for it and the ratings you gave it, and your request is best sent to it. If you write to us instead, we will pass it on to the business and help it answer. To stop its campaigns reaching you, reply with a stop word, such as STOP.

If you work for a business that plans its shifts in DutyDesk, the same goes for your details and your shifts: the business decides about them, and your request is best sent to it.

Changes to this policy

A material change will be published here and the date above will change with it. A change to the Google permissions the service asks for requires you to grant them again, so nothing can widen quietly.

Contact

alphamergers@gmail.com